アプリケーション トラフィックの制御
ライセンス：Control
ASA FirePOWER モジュールは、IP トラフィックを分析する際に、ネットワークで一般的に使用されているアプリケーションを識別および分類することができます。
アプリケーション制御について
アクセス コントロール ルールのアプリケーション条件を使用することで、このアプリケーション制御を実行できます。1 つのアクセス コントロール ルール内には、トラフィックを制御するアプリケーションを指定する方法がいくつかあります。
-
カスタム アプリケーションなどの個々のアプリケーションを選択できます。
-
システム提供のアプリケーション フィルタを使用できます。このフィルタは、アプリケーションの基本的な特性であるタイプ、リスク、ビジネスとの関連性、カテゴリ、およびタグに基づいて編成されたアプリケーションの名前付きセットです。
-
選択したアプリケーション（カスタム アプリケーションを含む）をグループ化するカスタム アプリケーション フィルタを作成し、使用できます。
アプリケーション フィルタを使用することで、アクセス コントロール ルールに対しアプリケーション条件をすぐに作成することができます。このフィルタによって、ポリシーの作成と管理が簡素化され、システムは Web トラフィックを想定通りに確実に制御します。たとえば、リスクが高く、ビジネスとの関連性が低いアプリケーションをすべて認識してブロックするアクセス コントロール ルールを作成できます。ユーザがそれらのアプリケーションの 1 つを使用しようとすると、セッションがブロックされます。
また、 シスコでは、システムおよび脆弱性データベース（VDB）の更新を通じて頻繁にディテクタを更新および追加しています。アプリケーションの特性に基づいたフィルタを使用することで、システムが最新のディテクタを使用してアプリケーション トラフィックをモニタすることが保証されます。
アプリケーション条件の作成
トラフィックがアプリケーション条件を持つアクセス コントロール ルールに一致するには、トラフィックが [Selected Applications and Filters] リストに追加したフィルタまたはアプリケーションの 1 つに一致している必要があります。
1 つのアプリケーション条件において、最大 50 の項目を [Selected Applications and Filters] リストに追加できます。以下はそれぞれ 1 つの項目としてカウントされます。
-
個別またはカスタムな組み合わせの、[Application Filters] リストからの 1 つ以上のフィルタ。この項目は、特性によってグループ化されたアプリケーションのセットを表します。
-
[Available Applications] リストでアプリケーションの検索を保存することで作成されるフィルタ。この項目は、部分文字列の一致によってグループ化されたアプリケーションのセットを表します。
-
[使用可能なアプリケーション（Available Applications）] リストからの個々のアプリケーション。
モジュール インターフェイスでは、条件に追加されたフィルタは上部にリストされ、個別に追加されたアプリケーションとは分けられます。
アプリケーション条件を持つ各ルールに対し、アクセス コントロール ポリシーを展開すると、システムは一意のアプリケーションのリストを生成して照合することに留意してください。つまり、完全なカバレッジを確保するために、重複フィルタおよび個々に指定されたアプリケーションを使用できます。
 （注） |
暗号化されたトラフィックの場合、システムは [SSL Protocol] とタグ付けされたアプリケーションだけを使用して、トラフィックを識別およびフィルタリングできます。このタグがないアプリケーションは、暗号化されていないまたは復号化されたトラフィックでのみ検出できます。 |
トラフィックとアプリケーション フィルタの一致
ライセンス：Control
アクセス コントロール ルールでアプリケーション条件を作成するときは、[Application Filters] リストを使用して、特性によってグループ化されたトラフィックを照合するアプリケーションのセットを作成します。
アクセス コントロール ルール内でアプリケーションをフィルタリングするメカニズムは、オブジェクト マネージャを使用して再利用可能なカスタム アプリケーション フィルタを作成するメカニズムと同じです。アプリケーション フィルタの操作 を参照してください。また、アクセス コントロール ルールで臨機応変に作成した多数のフィルタを新規の再利用可能なフィルタとして保存できます。ユーザが作成したフィルタはネストすることができないため、別のユーザが作成したフィルタを含むフィルタは保存できません。
フィルタの組み合わせ方について
フィルタを単独または組み合わせて選択すると、[Available Applications] リストが更新され、基準を満たすアプリケーションのみが表示されます。システムによって提供されるフィルタは組み合わせて選択できますが、カスタム フィルタはできません。
システムは、OR 演算を使用して同じフィルタ タイプの複数のフィルタをリンクします。たとえば、Risks（リスク）タイプの下の Medium（中）および High（高）フィルタを選択すると、結果として次のようなフィルタになります。
Risk: Medium OR High
Medium フィルタに 110 個のアプリケーション、High フィルタに 82 個のアプリケーションが含まれる場合、システムはこれら 192 個のアプリケーションすべてを [Available Applications] リストに表示します。
システムは、AND 演算を使用して異なるタイプのフィルタをリンクします。たとえば Risks タイプで Medium および High フィルタを選択し、Business Relevance（業務との関連性）タイプで Medium および High フィルタを選択した場合、結果として次のようなフィルタになります。
Risk: Medium OR HighANDBusiness Relevance: Medium OR High
この場合、システムは Medium または High Risk タイプと Medium または High Business Relevance タイプの両方に含まれるアプリケーションだけを表示します。
フィルタの検索および選択
フィルタを選択するには、フィルタ タイプの横にある矢印をクリックしてそれを展開し、アプリケーションを表示/非表示にする各フィルタの横のチェック ボックスを選択/選択解除します。システム提供のフィルタ タイプ（[Risks]、[BusinessRelevance]、[Types]、[Categories]、または[Tags]）を右クリックして、[CheckAll] または [Uncheck All] を選択することもできます。
フィルタを検索するには、[Available Filters] リストの上にある [Search by name] プロンプトをクリックし、名前を入力します。入力していくと、リストが更新されて一致するフィルタが表示されます。
フィルタを選択したら、[Available Applications] リストを使用してそのフィルタをルールに追加します。個々のアプリケーションからのトラフィックの照合 を参照してください。
個々のアプリケーションからのトラフィックの照合
ライセンス：Control
アクセス コントロール ルールでアプリケーション条件を作成するときは、[Available Applications] リストを使用して、トラフィックを照合するアプリケーションを作成します。
アプリケーションのリストの参照
条件の作成を初めて開始するときは、リストは制約されておらず、システムが検出するすべてのアプリケーションを一度に 100 個ずつ表示します。
-
アプリケーションを順次確認するには、リストの下にある矢印をクリックします。
-
アプリケーションの特性に関する概要情報と参照可能なインターネット検索リンクを含むポップアップ ウィンドウを表示するには、アプリケーションの横にある情報アイコン（
）をクリックします。
一致するアプリケーションの検索
照合するアプリケーションを見つけやすくするために、[Available Applications] リストを次のように制約できます。
-
アプリケーションを検索するには、リスト上部にある [Search by name] プロンプトをクリックし、名前を入力します。入力していくと、リストが更新されて一致するアプリケーションが表示されます。
-
フィルタを適用してアプリケーションを制約するには、[Application Filters] リストを使用します（トラフィックとアプリケーション フィルタの一致 を参照）。フィルタを適用すると、[Available Applications] リストが更新されます。
制約されると、[All apps matching the filter] オプションが [Available Applications] リストの上部に表示されます。このオプションを使用して、制約されたリスト内のすべてのアプリケーションを [Selected Applications and Filters] リストにすべて一度に追加できます。
（注） |
[アプリケーション フィルタ（Application Filters）] リストで 1 つ以上のフィルタを選択し、さらに [使用可能なアプリケーション（Available Applications）] リストも検索すると、選択内容と検索フィルタ適用後の [使用可能なアプリケーション（Available Applications）] リストが AND 演算を使用して結合されます。つまり [All apps matching the filter] 条件には、[Available Applications] リストに現在表示されている個々のすべての条件と、[Available Applications] リストの上で入力された検索文字列が含まれます。 |
条件内で照合する単一アプリケーションの選択
照合するアプリケーションを検索したら、それをクリックして選択します。複数のアプリケーションを選択するには、Shift キーおよび Ctrl キーを使用するか、または現在制約されているビュー内のすべてのアプリケーションを選択するには右クリックして [Select All] を選択します。
単一のアプリケーション条件では、それらを個別に選択することで、最大 50 のアプリケーションを照合できます。50 を超えるアプリケーションを追加するには、複数のアクセス コントロール ルールを作成するか、またはフィルタを使用してアプリケーションをグループ化します。
条件のフィルタに一致するすべてのアプリケーションの選択
[Application Filters] リストで検索またはフィルタを使用して制約されると、[All apps matching the filter] オプションが [Available Applications] リストの上部に表示されます。
このオプションを使用して、制約された [Available Applications] リスト内のアプリケーションのセット全体を [Selected Applications and Filters] リストに同時に追加できます。アプリケーションを個別に追加するのとは対照的に、このアプリケーションのセットを追加すると、そのセットを構成する個々のアプリケーションの数にかかわらず、最大 50 のアプリケーションに対してただ 1 つのアイテムとしてカウントされます。
このようにアプリケーション条件を作成するときは、[Selected Applications and Filters] リストに追加するフィルタの名前は、フィルタに表されているフィルタ タイプ + 各タイプの最大 3 つのフィルタの名前を連結させたものとなります。同じタイプのフィルタが 3 個を超える場合は、その後に省略記号（...）が表示されます。たとえば次のフィルタ名には、Risks タイプの 2 つのフィルタと Business Relevance タイプの 4 つのフィルタが含まれています。
Risks: Medium, High Business Relevance: Low, Medium, High,...[All apps matching the filter] で追加したフィルタでは表されないフィルタ タイプは、追加するフィルタの名前に含まれません。それらのファイル タイプは [any] に設定されます。つまり、それらのフィルタ タイプはフィルタを制約せず、任意の値を使用できるということです。
[All apps matching the filter] の複数のインスタンスをアプリケーション条件に追加でき、各インスタンスは [Selected Applications and Filters] リストで個別の項目としてカウントされます。たとえば、リスクが高いすべてのアプリケーションを 1 つの項目として追加し、選択内容をクリアしてから、ビジネスとの関連性が低いすべてのアプリケーションを別の項目として追加できます。このアプリケーション条件は、リスクが高いアプリケーションまたはビジネスとの関連性が低いアプリケーションに一致します。
アクセス コントロール ルールへのアプリケーション条件の追加
ライセンス：Control
トラフィックがアプリケーション条件を持つアクセス コントロール ルールに一致するには、トラフィックが [Selected Applications and Filters] リストに追加したフィルタまたはアプリケーションの 1 つに一致している必要があります。
1 条件ごとに最大 50 の項目を追加でき、条件に追加されたフィルタは上部にリストされ、個別に追加されたアプリケーションとは分けられます。アプリケーション条件を作成する際、警告アイコンは無効な設定を示します。詳細については、アクセス コントロール ポリシーとルールのトラブルシューティングを参照してください。
アプリケーション トラフィックを制御するには、次の手順を実行します。
手順
| ステップ 1 |
アプリケーション別にトラフィックを制御するアクセス コントロール ポリシーで、新しいアクセス コントロール ルールを作成するか、または既存のルールを編集します。 詳細な手順については、アクセス コントロール ルールの作成および編集を参照してください。 |
||
| ステップ 2 |
ルール エディタで、[Applications] タブを選択します。 |
||
| ステップ 3 |
必要に応じて、セーフサーチ（ たいていの場合、コンテンツ制限を有効にすると、条件の [Selected Applications and Filters] リストに適切な値が入力されます。コンテンツ制限を有効にするときに、コンテンツ制限に関係するアプリケーションまたはフィルタがすでにリスト内に存在している場合には、システムはリストに自動的に値を入力することはしません。 アプリケーションを絞り込んで選択内容をフィルタする手順を続行するか、またはスキップしてルールの保存に進みます。 |
||
| ステップ 4 |
オプションで、フィルタを使用して [Available Applications] リストに表示されるアプリケーションのリストを制約します。 [Application Filters] リストで 1 つ以上のフィルタを選択します。詳細については、トラフィックとアプリケーション フィルタの一致を参照してください。 |
||
| ステップ 5 |
[Available Applications] リストから追加するアプリケーションを見つけて選択します。 個々のアプリケーションを検索して選択したり、リストの表示を制限した場合は [All apps matching the filter] をクリックしてすべてを選択したりできます。詳細については、個々のアプリケーションからのトラフィックの照合を参照してください。 |
||
| ステップ 6 |
[Add to Rule] をクリックして、選択したアプリケーションを [Selected Applications and Filters] リストに追加します。 選択したアプリケーションとフィルタをドラッグ アンド ドロップすることもできます。フィルタは [Filters] という見出しの下に表示され、アプリケーションは [Applications] という見出しの下に表示されます。
|
||
| ステップ 7 |
必要に応じて、[Selected Applications and Filters] リストの上にある追加アイコンをクリックすると、リストに現在含まれているすべての個々のアプリケーションとフィルタから成るカスタム フィルタを保存できます。 その場で作成されたフィルタを管理するには、オブジェクト マネージャを使用します。を参照してください。 . 別のユーザが作成したフィルタを含むフィルタは保存できないことに注意してください。ユーザが作成したフィルタはネストできません。 |
||
| ステップ 8 |
ルールを保存するか、編集を続けます。 変更を反映させるには、アクセス コントロール ポリシーを展開する必要があります（設定変更の導入を参照してください）。 |
）または YouTube EDU（
）の淡色表示アイコンをクリックし、関連オプションを設定して、コンテンツ制限機能を有効にします。追加の設定要件については、アプリケーション制御の制限
ライセンス：Control
アプリケーション制御を実行する際は、次の点に注意してください。
アプリケーション識別の速度
システムは、以下の動作の前にアプリケーション制御を実行することはできません。
-
モニタ対象の接続がクライアントとサーバの間で確立される前
-
システムがセッションでアプリケーションを識別する前
この識別は 3 ～ 5 パケット以内で、またはトラフィックが暗号化されている場合は、SSL ハンドシェイクのサーバ証明書交換の後に発生する必要があります。これらの最初のパケットの 1 つがアプリケーション条件を含むアクセス コントロール ルール内の他のすべての条件に一致するが、識別が完了していない場合、アクセス
コントロール ポリシーはパケットの通過を許可します。この動作により接続が確立され、こうしてアプリケーションの識別が可能になります。便宜上、影響を受けるルールは情報アイコン（）でマークされます。
許可されたパケットは、アクセス コントロール ポリシーのデフォルトの侵入ポリシー（デフォルト アクション侵入ポリシーでも、ほぼ一致するルールの侵入ポリシーでもない）により検査されます。
システムは識別を終えると、アクセス コントロール ルール アクションおよび関連付けられている侵入ポリシーおよびファイル ポリシーをそのアプリケーション条件に一致する残りのセッション トラフィックに適用します。
暗号化されたトラフィックの処理
システムは、SMTPS、POP、FTPS、TelnetS および IMAPS など StartTLS を使用して、暗号化されるようになる暗号化されていないアプリケーション トラフィックを識別し、フィルタリングできます。また、TLS クライアントの hello メッセージ内の Server Name Indication、またはサーバ証明書のサブジェクト識別名の値に基づいて、特定の暗号化されたアプリケーションを識別できます。
これらのアプリケーションは、[SSL Protocol] とタグ付けされています。このタグがないアプリケーションは、暗号化されていないまたは復号されたトラフィックでのみ検出できます。
ペイロードのないアプリケーション トラフィック パケットの処理
システムは、アプリケーションが識別される接続内にペイロードがないパケットに対してデフォルト ポリシー アクションを適用します。
参照されるトラフィックの処理
Web サーバによって参照されるトラフィック（たとえばアドバタイズメント トラフィック）を処理するルールを作成するには、参照元アプリケーションではなく、参照されるアプリケーションに関する条件を追加します。
複数のプロトコルを使用するアプリケーション トラフィックの制御（Skype）
システムは、Skype の複数のタイプのアプリケーション トラフィックを検出できます。Skype のトラフィックを制御するためのアプリケーション条件を作成する場合は、個々のアプリケーションを選択するのではなく、[Application Filters] リストから [Skype] タグを選択します。これにより、システムは同じ方法で Skype のすべてのトラフィックを検出して制御できるようになります。詳細については、「トラフィックとアプリケーション フィルタの一致」を参照してください。
フィードバック